La implantación de ISO 22163 no tiene un plazo único y fiable para todas las organizaciones. El tiempo de preparación depende del alcance de la certificación, la madurez del sistema de gestión existente, la estabilidad de los procesos y la calidad de los registros que demuestran su funcionamiento. El calendario solo puede considerarse realista después de analizar las brechas, asignar responsabilidades y determinar cuánto tiempo se necesita no solo para establecer las reglas, sino también para aplicarlas, realizar auditorías internas y confirmar la eficacia de las acciones correctivas. La auditoría evalúa un sistema en funcionamiento, no un conjunto de procedimientos preparados para la ocasión.
IRIS como proyecto operativo
La implantación de ISO 22163 debe abordarse como un cambio en la forma de gestionar la actividad ferroviaria, no como una tarea documental orientada a superar una auditoría. La norma establece requisitos para el sistema de gestión de la calidad del sector ferroviario, mientras que IRIS es el esquema utilizado para evaluar a la organización y desarrollar el proceso de certificación. El sistema de gestión es el conjunto real de procesos, responsabilidades, datos y decisiones que funciona en la empresa. El certificado confirma el resultado de la evaluación de ese conjunto, pero no lo sustituye. La edición vigente de la norma y las reglas aplicables del esquema IRIS deben verificarse en la fecha de inicio del proyecto y de publicación de la información.
Las empresas suelen iniciar la implantación como respuesta a un requisito de cliente, por la intención de incorporarse a la cadena de suministro ferroviaria, debido a las condiciones de una licitación, por la ampliación de sus actividades o por la necesidad de ordenar las responsabilidades de los procesos. Con independencia del motivo, la dirección debe definir primero los límites del sistema: entidades y centros incluidos en la certificación, grupos de productos y servicios, participación del diseño y procesos externalizados. Sin estas decisiones, el calendario es solo aparente, porque no se sabe dónde deben generarse las evidencias de conformidad ni quién responde de su fiabilidad.
El proyecto no debe quedar exclusivamente en manos del departamento de calidad. El responsable del sistema puede coordinar el análisis de brechas, la documentación y la preparación de las auditorías, pero las evidencias fundamentales se generan en ventas, diseño, compras, producción, mantenimiento de infraestructuras y equipos, y gestión de reclamaciones. No basta con declarar que se controlan los requisitos del cliente si el área comercial no registra los cambios acordados, diseño no garantiza la trazabilidad de las verificaciones y compras no evalúa cómo influye cada proveedor en la conformidad del producto. El proyecto debe estar patrocinado por un miembro de la dirección con autoridad para resolver conflictos entre procesos y asignar recursos.
Un sistema UNE-EN ISO 9001 existente puede acortar la preparación, pero únicamente si funciona de forma operativa y aporta registros coherentes, indicadores y resultados de seguimiento. Disponer de un certificado UNE-EN ISO 9001 no demuestra por sí solo la capacidad para cumplir los requisitos sectoriales. Por tanto, los escenarios descritos en Cómo preparar la empresa para la certificación UNE-EN ISO 9001 en 90, 180 y 270 días: escenarios realistas no deben trasladarse automáticamente a un proyecto ferroviario. Las características de los requisitos sectoriales y su relación con el esquema de certificación se explican en IRIS (ISO/TS 22163): sistema de gestión de la calidad en el sector ferroviario.
Qué determina realmente el plazo
El calendario de implantación debe dividirse en dos periodos. El primero comprende el análisis de brechas, el diseño de los procesos, la asignación de responsabilidades y la definición o actualización de las reglas operativas. El segundo comienza cuando las soluciones adoptadas se aplican realmente: se generan registros, los indicadores muestran resultados, se realizan auditorías internas y revisiones por la dirección, y puede evaluarse la eficacia de las acciones correctivas. Redactar la documentación con rapidez no reduce automáticamente el tiempo necesario para demostrar que el sistema funciona.
La preparación avanza con mayor rapidez cuando existen un sistema UNE-EN ISO 9001 operativo, procesos estables, indicadores fiables, responsabilidades claramente asignadas, control de los requisitos de cliente y disponibilidad de la dirección para tomar decisiones. El calendario se alarga cuando la documentación está dispersa, no hay propietarios de proceso, la trazabilidad es insuficiente, los cambios no se controlan, la evaluación de proveedores es inmadura o faltan datos de eficacia. También influyen el número de centros, la cantidad de procesos incluidos en el alcance y el número de personas que realizan actividades con impacto en la calidad. Cada uno de estos factores amplía los puntos en los que debe demostrarse la coherencia entre las reglas y la práctica.
| Escenario | Situación inicial y limitaciones | Condición para iniciar la auditoría | Principal riesgo para el plazo |
|---|---|---|---|
| Acelerado | Procesos maduros y estables, con datos completos; las brechas afectan principalmente a requisitos sectoriales | Disponibilidad de un ciclo completo de registros y eficacia confirmada de los mecanismos incorporados | Incoherencias ocultas entre centros o procesos |
| Estándar | Sistema UNE-EN ISO 9001 operativo, aunque parte de los controles, indicadores y responsabilidades debe desarrollarse | Brechas relevantes cerradas, auditorías internas realizadas y revisión por la dirección completada | Sobrevalorar la madurez del sistema por el hecho de estar certificado |
| Correctivo | Los procesos requieren rediseño; existen acciones atrasadas, trazabilidad insuficiente o cambios no controlados | Prácticas estabilizadas y evidencias de la eficacia de las acciones correctivas | No conformidades recurrentes y falta de decisiones de la dirección |
La asignación de la organización a uno de estos escenarios debe basarse en un análisis de brechas, no en la declaración del responsable del sistema. Es necesario revisar los registros de auditorías, revisiones, evaluación de proveedores, gestión de riesgos y seguimiento de procesos, así como el número de no conformidades abiertas, reclamaciones y acciones correctivas pendientes. Una prueba práctica consiste en seguir un pedido seleccionado desde los requisitos del cliente, pasando por los cambios y suministros, hasta la aceptación y la respuesta ante desviaciones. Las interrupciones en esta secuencia suelen revelar el esfuerzo real que exigirá la implantación.
El contacto con la entidad de certificación puede planificarse con antelación, pero conviene fijar una fecha firme de auditoría solo después de completar el análisis de brechas e incluir margen para las acciones correctivas. El sector ferroviario exige especial atención a la trazabilidad, el control de cambios, los requisitos de cliente y la cadena de suministro. Por ello, solo resulta razonable proponer plazos concretos cuando se han confirmado el alcance, la madurez de los procesos y la calidad de las evidencias disponibles.
Dónde aumentan el coste y el riesgo
El coste de implantación aumenta principalmente cuando se definen demasiado tarde el alcance del sistema, las responsabilidades de los propietarios de proceso y las interdependencias entre ventas, diseño, compras, producción, aceptación y tratamiento de no conformidades. El resultado es la repetición de trabajos ya realizados: volver a mapear procesos, modificar formularios, completar datos y conciliar reglas contradictorias. El mecanismo es similar al empleado para determinar cuánto cuesta implantar NIS2 y uKSC y cómo presupuestar auditorías, documentación, formación y medidas de seguridad sin errores costosos: el esfuerzo depende de la situación inicial, el alcance y el número de interdependencias, no de la cantidad de documentos. Esto no implica trasladar requisitos regulatorios entre ámbitos diferentes.
Antes de redactar procedimientos, deben resolverse las brechas relacionadas con el flujo de los procesos, la autoridad para tomar decisiones, los puntos de transferencia de información y las fuentes de datos. Copiar documentación estándar suele ocultar estos problemas. Un procedimiento puede ser formalmente correcto y, al mismo tiempo, no reflejar el flujo real de un pedido ni la forma en que se aprueban un diseño, un proveedor, una aceptación o una concesión.
La dirección debe separar en el presupuesto el coste de la consultoría, las horas de trabajo de los propietarios de proceso y del equipo de implantación, la formación, los cambios en las herramientas, las auditorías internas, la auditoría de certificación y el propio proceso de certificación. El coste de la auditoría de certificación requiere una oferta individual preparada conforme a las reglas vigentes para determinar la duración de la auditoría.
Un problema habitual aparece cuando el procedimiento contempla formalmente la evaluación de riesgos y el control de cambios, pero una orden de producción se modifica por correo electrónico, una desviación de diseño no dispone de una aprobación inequívoca o un nuevo proveedor inicia el suministro antes de finalizar su evaluación. Existen registros aislados, pero no forman una secuencia coherente de decisiones. No puede determinarse quién evaluó el impacto del cambio, qué requisitos del cliente se comprobaron ni si se actualizó la configuración. Esta brecha genera simultáneamente costes de calidad, riesgo de reclamaciones y la necesidad de reconstruir evidencias antes de la auditoría.
La inmadurez en la gestión de la configuración, los proyectos, los proveedores, los riesgos y los requisitos de cliente suele hacerse visible durante el muestreo de registros. El mecanismo declarado puede funcionar para un producto, pero dejar de ser coherente cuando se selecciona otro pedido, centro o proveedor. El plan debe contemplar, por tanto, las horas de trabajo de las personas implicadas, el número de sistemas y registros que deben conciliarse y el tiempo necesario para corregir las carencias documentales. Cambiar el sistema informático solo está justificado cuando las herramientas existentes no permiten garantizar la trazabilidad, el control de autorizaciones o la coherencia de los datos. Se aplica una lógica similar al evaluar evidencias en Cómo preparar la empresa para una auditoría de segunda parte a un proveedor clave.
Un plan de implantación basado en evidencias
El plan de implantación debe comenzar con un diagnóstico de la situación actual, no con la redacción de procedimientos. El diagnóstico debe abarcar la definición del alcance, el mapa de procesos, los requisitos de cliente, las prácticas aplicadas, los documentos vigentes, los registros disponibles y los datos de desempeño. El resultado debe ser un análisis de brechas asignado a procesos, responsables y plazos concretos. El avance debe medirse por el cierre efectivo de las acciones, no por el número de documentos elaborados.
Es especialmente importante distinguir entre tres situaciones:
- no existe una regla de actuación definida;
- la regla está documentada, pero no se aplica;
- la regla se aplica, pero no deja un registro fiable.
Cada situación exige una respuesta distinta. La primera requiere diseñar una solución; la segunda, incorporarla a la práctica; y la tercera, asegurar la evidencia de ejecución y su control.
El sistema debe diseñarse alrededor de los flujos de trabajo y los puntos de decisión reales. Para cada proceso deben definirse el propietario, los riesgos, los indicadores, los criterios de control, los registros requeridos y las reglas de transferencia de responsabilidad. Esto resulta especialmente importante en las interfaces entre ventas, diseño, compras y ejecución, porque es donde con mayor frecuencia se pierden requisitos o se introducen cambios sin control.
Las prácticas sectoriales relacionadas, entre otras materias, con la gestión de proyectos, riesgos, configuración, cambios, proveedores y no conformidades deben integrarse en los procesos correspondientes, en función de las actividades de la organización. No deberían mantenerse como anexos independientes gestionados exclusivamente por el departamento de calidad.
El diseño del sistema puede comprobarse seleccionando un encargo representativo y siguiéndolo desde la aceptación de los requisitos hasta la entrega o aceptación final. La organización debe poder demostrar la aprobación de los requisitos del cliente, las decisiones de diseño, la evaluación de riesgos y el control de proveedores, configuración, cambios y no conformidades. Si no es posible reconstruir todo el recorrido mediante los registros, la etapa no está terminada, aunque la documentación ya haya sido aprobada. El criterio de preparación debe ser la existencia de evidencias coherentes procedentes de varios pedidos o proyectos seleccionados y la confirmación de que el proceso funciona sin completar datos de forma puntual antes de la auditoría.
Las competencias deben desarrollarse de acuerdo con las responsabilidades. La dirección debe comprender qué decisiones requieren su participación y cómo desarrollar la revisión; los propietarios de proceso, cómo controlar los resultados y riesgos; los auditores internos, cómo evaluar las evidencias; y el personal operativo, qué requisitos se aplican a sus tareas y registros. Para interpretar los requisitos y determinar las necesidades de competencia puede consultarse Requisitos IRIS (ISO/TS 22163): sistema de gestión de la calidad en el sector ferroviario. La formación, por sí sola, no demuestra la implantación. Las competencias deben reflejarse en las decisiones, las actuaciones y los registros de los procesos.
Una vez puesto en marcha el sistema, el comité de dirección del proyecto debe revisar periódicamente el avance del análisis de brechas, la proporción de procesos con propietario, indicadores, riesgos y criterios de control definidos, así como la disponibilidad de registros que cubran el ciclo completo de ejecución. La frecuencia de las revisiones debe adaptarse al ritmo de los cambios y al volumen de asuntos pendientes. El cierre de cada etapa debe ser aprobado por el propietario del resultado y la persona responsable de la implantación, con arreglo a criterios de salida previamente definidos. Solo resulta razonable pasar a la auditoría interna o de certificación cuando el sistema se ha comprobado con casos reales y las brechas detectadas se han cerrado y verificado.
Ensayo general antes de la auditoría
El ensayo general debe evaluar el funcionamiento del sistema en condiciones similares a las de una auditoría de certificación, no la integridad de carpetas o archivadores. La auditoría interna debe planificarse por procesos y en función del riesgo, cubriendo todos los procesos y centros relevantes incluidos en el alcance. En lugar de comprobar cada departamento por separado, los auditores deben seguir pedidos, proyectos, cambios, suministros y no conformidades concretos a través de las distintas áreas. La muestra debe incluir procesos con resultados más débiles, cambios significativos, problemas con proveedores y puntos en los que se hayan producido no conformidades anteriormente.
La fiabilidad de la evaluación depende de la independencia de los auditores y de la calidad del muestreo. La persona responsable de un proceso no debe auditar su propio trabajo. Esto también se aplica a los procesos gestionados por el departamento de calidad, que deben ser evaluados por un auditor competente ajeno a dicha área o por un auditor externo adecuadamente seleccionado. La auditoría interna completa debe realizarse con tiempo suficiente para analizar las causas, implantar acciones y evaluar su eficacia. Cuando se realiza demasiado tarde, las conclusiones suelen cerrarse administrativamente sin comprobar los resultados.
Puede construirse una muestra representativa alrededor de un pedido que incluya la revisión de requisitos, la planificación, las compras, la ejecución, el control y la aceptación, para después relacionarlo con un cambio técnico, una entrega retrasada o una reclamación. El auditor comprueba no solo la existencia de documentos, sino también la coherencia entre las decisiones y los registros, la fiabilidad de los indicadores y la respuesta ante las desviaciones. La preparación se demuestra mediante muestras completas que cubren todo el recorrido del producto, servicio, pedido o proyecto, la inclusión de los procesos y centros en el programa de auditorías y el estado real de las no conformidades.
Después de la auditoría de prueba, la dirección debe realizar una revisión basada en datos actuales, no en una presentación preparada únicamente para la reunión. La revisión debe generar decisiones documentadas sobre recursos, riesgos, desempeño de los procesos, proveedores y acciones de mejora. La eficacia de las acciones correctivas requiere especial atención. Una formación, la modificación de un formulario o el cierre formal de una tarea no demuestran que se haya eliminado la causa del problema. Debe confirmarse que el problema no se repite y que la nueva forma de trabajar funciona en la práctica.
Durante el ensayo general conviene aplicar los principios descritos en el material Cómo preparar la empresa para una auditoría de segunda parte a un proveedor clave, especialmente en lo relativo a la preparación de los propietarios de proceso, la disponibilidad de evidencias y las respuestas basadas en hechos. No obstante, debe mantenerse la diferencia de propósito: una auditoría de cliente suele centrarse en sus requisitos, en productos concretos y en el riesgo de suministro, mientras que la auditoría de certificación evalúa de forma sistémica el alcance de la organización, así como la conformidad y eficacia de sus procesos. El marco de referencia para esta evaluación sigue siendo IRIS (ISO/TS 22163): sistema de gestión de la calidad en el sector ferroviario.
Decisión sobre la preparación
Estar preparado para la auditoría significa que la organización es capaz de presentar evidencias coherentes del funcionamiento del sistema en todo el alcance declarado. No equivale a haber terminado de redactar procedimientos ni a disponer de documentación formalmente aprobada. La dirección debe confirmar que los procesos se aplican, que sus resultados pueden trazarse en los registros y que los propietarios pueden explicar las decisiones, las desviaciones y las actuaciones adoptadas.
La confirmación definitiva de la fecha de auditoría debe tratarse como un hito formal de decisión. Para autorizar el paso a auditoría deben cumplirse las siguientes condiciones:
- alcance del sistema aprobado;
- procesos incluidos en el alcance implantados;
- registros representativos disponibles;
- auditorías internas realizadas;
- revisión por la dirección realizada;
- eficacia de las acciones correctivas cerradas confirmada.
Solo pueden permanecer brechas abiertas cuando se hayan determinado su impacto, los responsables, los plazos de respuesta y el método de seguimiento, y la dirección haya aceptado conscientemente el riesgo residual.
La auditoría debe aplazarse si los registros no cubren el flujo habitual de un pedido o proyecto, las responsabilidades no están claras, persisten problemas sistémicos abiertos o no se ha confirmado la eficacia de las acciones correctivas. También debe posponerse cuando exista una discrepancia significativa entre la documentación y la práctica. Un procedimiento de control de cambios no demuestra la preparación si los cambios técnicos reales se han aprobado fuera del circuito establecido o sin evaluar su impacto.
La ficha de decisión presentada a la dirección debe clasificar cada criterio como «cumplido», «cumplido condicionalmente» o «no cumplido», e identificar los riesgos sistémicos pendientes, los responsables de las acciones y los plazos de respuesta. La conclusión debe ser inequívoca: «proceder», «proceder con condiciones» o «aplazar». La decisión formal corresponde a la dirección responsable del alcance y de los recursos, no exclusivamente al responsable del sistema.
Un calendario fiable se construye después del diagnóstico de brechas y la asignación de recursos, no mediante una cuenta atrás desde la fecha deseada para obtener el certificado. La evaluación final debe considerar los criterios de preparación para la auditoría y los requisitos presentados en Requisitos IRIS (ISO/TS 22163): sistema de gestión de la calidad en el sector ferroviario.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
